Graylog之告警
官方文档:https://docs.graylog.org/en/3.0/index.html
前面我们已经了解了Graylog的搭建,以及日志的接入方法。我们知道graylog可以将收集的的日志通过web界面展示出来,但随着日志量的增加,我们可能不能及时的发现一些异常日志。为了避免这种情况出现,告警通知可以说很有必要了。
1.先在graylog server 的配置文件中添加Email配置,并重启服务。默认graylog的配置文件在/etc/graylog/server/server.conf
1vim /etc/graylog/server/server.conf 2 3#Email transport 4transport_email_enabled = true 5transport_email_hostname = smtp.exmail.qq.com 6transport_email_port = 465 7transport_email_use_auth = true 8transport_email_auth_username = you@example.com #修改成自己的名字 9transport_email_auth_password = secret #设置密码 10transport_email_subject_prefix = [graylog] 11transport_email_from_email = graylog@example.com #修改example 12 13# systemctl restart graylog-server
2. Graylog web界面配置
1)新建告警条件:点击“Alerts”--“Mange condition”--“Add new condition”
2) 选择想要添加告警的stream和条件类型
Condition type:
-
Field Content Alert Condition
Field表示字段,Value是字段的值,Grace Period是指当一个告警恢复时下一个告警的等待时间,Message Backlog是指包含在告警通知中的信息数量,Search Query(optional)查询搜索(可选的),可以匹配查询内容,默认是全部。例如下图告警条件是nginx日志中出现字段ERROR的内容。
-
Field Aggregation Alert Condition
Threshold Type阈值类型,Aggregation Type聚合类型。可以根据自己的需求设置对应的参数。
-
Message Count Alert Condition
选择阈值类型,统计消息数量是否超过或者低于设定阈值,否则触发告警。
Condition配置完成
3) 配置告警通知:点击“Notifications”--“Add new Notification ”
4) 选择告警stream和通知类型
Notification type:
-
HTTP Alarm Callback
添加一条url到告警平台,告警平台可以通过配置发送到钉钉
-
Email Alert Callback
E-Mail Receivers选择接收邮件人的邮箱,Sender发生告警的发送方
5) 测试邮件:点击Test查看收到邮件内容,配置完成